Comment un jeune pirate informatique a été engagé (et arnaqué) par un agent de la DGSI

Un expert en sécurité, répondant au pseudonyme de « Sh0ck », a publié, fin janvier 2024, un long thread sur X racontant ses années de travail en secret pour la Direction générale de la sécurité intérieure (DGSI). Il a ensuite effacé ce fil, mais Mediapart a détaillé toute cette affaire dans une longue enquête.

En 2011, âgé de 18 ans, Sh0ck s’introduit frauduleusement sur le serveur d’une société américaine de traduction. Il y récupère des documents appartenant à Thales sur des frégates, classés « Secret défense ». Les forces de l’ordre l’identifient et l’appréhendent. Un tribunal le condamne en 2013 à six mois de prison avec sursis et 500 euros d’amende.

Mais dans l’intervalle, un membre de la DGSI, alors DCRI (Direction centrale du renseignement intérieur), lui avait proposé d’effectuer, en tant que « source extérieure », des missions cyber sur les réseaux djihadistes francophones. Après lui avoir confié des recherches en sources ouvertes, la DGSI lui demande de découvrir des vulnérabilités affectant des sites djihadistes. Sh0ck parvient notamment à s’introduire dans celui d’Ansar Al-Haqq, une référence à l’époque, où il vole 4 000 identifiants.

D’anciens membres de la DGSI ont confirmé ce récit : recruter des pirates informatiques extérieurs est bien une pratique du renseignement intérieur français. Sh0ck a travaillé pour la DGSI jusqu’en 2016-2017, avant de devenir consultant pour une société de sécurité informatique.

En 2020, des policiers ont appris au jeune pirate informatique que l’officier de la DGSI qui lui servait de référent l’avait arnaqué. Ce brigadier a en effet détourné environ la moitié de l’argent liquide destiné à payer ses « sources » extérieures, soit un total de 92 000 euros. Il s’est servi de faux papiers utilisés par la DGSI dans des opérations de couverture pour ouvrir le compte bancaire où il a déposé cet argent.

Mis en examen à l’été 2020, ce brigadier de 52 ans a été condamné en novembre 2022 à trois ans de prison, dont six mois ferme, pour « détournement de fonds publics » et « faux et usage de faux ».